Receber uma mensagem com seu nome, agência, contrato ou valor exato de uma cobrança muda o nível do golpe. Ainda assim, a proximidade temporal entre um vazamento e a fraude não basta, por si só, para definir quem responde. O ponto decisivo costuma ser o nexo causal: quais dados o criminoso conhecia, quem os guardava, como eles foram usados e quais controles falharam. Este guia mostra como transformar uma suspeita em uma linha probatória verificável, sem prometer indenização automática e sem atribuir culpa antes da análise técnica do caso.

PRÓXIMO PASSO
Se o golpe ocorreu nas últimas horas, preserve primeiro as provas e tente conter o prejuízo. Uma análise jurídica inicial deve começar pela cronologia, pelos dados exclusivos usados pelo fraudador e pelos protocolos de contestação.

1. Vazamento e golpe não são sinônimos

Vazamento é um incidente que compromete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. O golpe é a conduta fraudulenta praticada com ou sem dados vazados. A mesma fraude pode resultar de engenharia social genérica, de informação publicamente disponível, de acesso ao aparelho da vítima ou de falha interna de uma organização. Essa distinção evita conclusões apressadas.

Na LGPD, os agentes de tratamento devem adotar medidas de segurança aptas a proteger os dados e podem responder quando o tratamento irregular causa dano. Nas relações de consumo, o CDC também incide quando a falha está ligada ao serviço. A responsabilidade, porém, depende da função de cada participante, da falha demonstrada e da relação entre essa falha e o prejuízo.

O STJ reforça a necessidade de olhar para a origem dos dados. No REsp 2.077.278, relativo ao golpe do boleto, a instituição financeira foi responsabilizada porque o fraudador detinha informações específicas da operação bancária. O próprio precedente diferencia dados bancários exclusivos de dados cadastrais básicos, que podem ser obtidos em outras fontes.

2. O que forma o nexo causal

Uma boa hipótese causal reúne quatro blocos: exclusividade da informação, proximidade temporal, coerência do modo de ataque e falha de segurança identificável. Quanto mais específico o dado — número de contrato, parcela, saldo, vencimento ou histórico de atendimento — maior a necessidade de apurar de onde ele saiu. O fato de o criminoso saber apenas nome e CPF, isoladamente, tende a ser menos conclusivo.

O nexo também pode decorrer da ausência de mecanismos antifraude. Em 2025, ao julgar os REsps 2.222.059 e 2.229.519, o STJ destacou que bancos e instituições de pagamento podem responder pelo golpe da falsa central quando falhas de segurança, proteção de dados ou detecção de transações atípicas viabilizam o prejuízo. Não se trata de responsabilidade automática por todo golpe, mas de exame concreto da adequação dos controles.

Já no AREsp 2.130.619, o STJ afastou a ideia de que o vazamento de dados pessoais comuns gere, sempre e por si só, dano moral presumido. O precedente torna a prova mais importante: é preciso documentar consequências, risco concreto, uso indevido, gastos, bloqueios, tentativas de fraude ou violação relevante da esfera pessoal.

3. Quadro de prova: fraca, útil e decisiva

Elemento	Indício fraco	Prova que fortalece o caso
Origem do dado	Golpista sabia nome e CPF	Conhecia contrato, parcela, saldo ou protocolo restrito
Tempo	Fraude meses depois	Ataque logo após atendimento, compra ou incidente confirmado
Modo do golpe	Mensagem genérica	Narrativa coincide com operação real e canal usado
Falha de controle	Apenas suspeita	Alerta de incidente, login anômalo, transação fora do perfil ou resposta técnica
Dano	Medo abstrato	Perda financeira, bloqueios, fraude tentada, exposição ou gasto comprovado

 

PONTO DE DECISÃO
Antes de litigar, vale responder três perguntas: qual controle falhou, que dado exclusivo saiu desse ambiente e como isso viabilizou o prejuízo. Essa tríade define a estratégia de prova e evita uma ação baseada apenas em presunções.

4. O que fazer nas primeiras 24 horas

Primeiro, interrompa a cadeia do dano: contate a instituição por canal oficial, bloqueie credenciais, conteste transações e peça número de protocolo. Em operações Pix, solicite a abertura do mecanismo aplicável e registre a contestação formal. Não apague conversas, não formate o aparelho e não entregue o dispositivo a terceiros sem registrar a cadeia de custódia.

Em seguida, construa uma linha do tempo com horários, telefones, links, contas de destino, nomes de atendentes, telas, e-mails e gravações. Exporte a conversa completa quando a plataforma permitir; capturas isoladas podem omitir metadados. Guarde comprovantes bancários em PDF e a versão original dos arquivos. Uma ata notarial pode ser útil em casos de maior valor ou conteúdo sujeito a desaparecer, mas não é obrigatória em toda situação.

Registre boletim de ocorrência com fatos objetivos. Depois, apresente requerimentos separados ao banco e à empresa que possivelmente originou o dado: confirmação de tratamento, origem, compartilhamentos, registros do incidente e providências adotadas. Evite pedir apenas “indenização”; primeiro peça informação capaz de testar a hipótese causal.

5. Pedido ao controlador e atuação da ANPD

A LGPD assegura direitos como confirmação de tratamento, acesso, correção e informação sobre compartilhamentos. A ANPD orienta que o titular procure antes o controlador e guarde os protocolos. A petição à Autoridade exige comprovação dessa tentativa prévia e não substitui, necessariamente, a solução individual do prejuízo.

Se houver indício de crime, a via policial permanece relevante. Se houver discussão de consumo, Procon, consumidor.gov.br e Judiciário podem ser adequados. A escolha depende do objetivo: recuperar valor, obter documentos, interromper uso de dados, retificar cadastro ou buscar reparação.

6. Quando a ação judicial faz sentido

A ação ganha consistência quando a petição conecta cada pedido a uma prova: ressarcimento à transação contestada; exibição de registros à assimetria informacional; obrigação de fazer ao risco atual; dano moral às consequências demonstradas. Pedidos genéricos ou teses copiadas de casos diferentes fragilizam o conjunto.

Também é necessário mapear possíveis defesas: culpa exclusiva, dado obtido de fonte externa, autenticação regular, demora na comunicação ou transação compatível com o perfil. A resposta jurídica deve antecipá-las com cronologia, logs requisitados, perfil transacional e especificidade da informação usada pelo criminoso.

7. Checklist documental

• Comprovantes da transação e extratos do período
• conversa integral, números, URLs e arquivos originais
• protocolos do banco, da empresa e da plataforma
• boletim de ocorrência
• prova de bloqueios, gastos e consequências
• pedido LGPD e resposta do controlador
• comunicações públicas do incidente
• lista de dados exclusivos conhecidos pelo golpista.

Perguntas frequentes

1. Todo vazamento gera indenização?

Não. A jurisprudência exige análise do dado, da gravidade, do uso indevido e das consequências. Dados sensíveis e contextos de fraude recebem exame mais rigoroso, mas nenhum resultado deve ser prometido sem prova.

2. Print de WhatsApp é suficiente?

Pode ajudar, mas é melhor preservar a conversa integral, arquivos originais, identificação do número, data, URL e comprovantes. A força probatória depende do conjunto e da possibilidade de verificação.

3. Preciso de ata notarial?

Não em todos os casos. Ela pode aumentar a confiabilidade de conteúdo volátil ou de alto valor, sem substituir extratos, protocolos e demais evidências.

4. Posso pedir ao banco os registros da transação?

Sim. O pedido deve ser específico e compatível com os direitos do titular e com a controvérsia. Em processo, também pode haver pedido de exibição.

5. A empresa deve revelar a origem dos meus dados?

A LGPD garante informações sobre tratamento e compartilhamento, observados segredos comercial e industrial e limites legais.

6. Devo procurar a ANPD antes da Justiça?

Não há regra geral que obrigue essa ordem. Para petição de titular à ANPD, a Autoridade orienta tentativa prévia junto ao controlador.

7. Golpe da falsa central é sempre culpa do banco?

Não. O STJ examina se houve falha de segurança, uso de dados protegidos ou ausência de detecção de transação anômala, além da conduta da vítima.

8. Dados comuns vazados nunca geram dano moral?

Também não. O STJ afastou a presunção automática em um caso, mas dano comprovado ou circunstâncias graves podem justificar reparação.

9. Quanto tempo tenho para agir?

Os prazos variam conforme a relação jurídica e o pedido. A preservação de prova e a contenção, contudo, são urgentes.

10. O que levar para uma consulta?

Cronologia de uma página, extratos, comprovantes, conversa integral, protocolos, boletim e respostas aos pedidos de informação.

AVALIAÇÃO JURÍDICA
Se o fraudador conhecia dados que não deveriam estar fora do banco ou da empresa, a análise precisa reconstruir o caminho da informação. O escritório pode revisar a cronologia, classificar a prova disponível e indicar medidas extrajudiciais e judiciais proporcionais ao caso, com atendimento nacional e on-line.

Leia também

• Golpes bancários e LGPD: banco falhou, banco paga?
• Pós-golpe financeiro: medidas imediatas
• Direito Digital e LGPD

Fontes oficiais e auditáveis

Consulta concluída em 22 de agosto de 2026. Situações processuais pendentes, especialmente temas repetitivos, devem ser novamente conferidas antes da publicação ou do uso em peça judicial.

• Lei Geral de Proteção de Dados — Lei 13.709/2018 — Arts. 6º, 18, 42 a 49.
• Código de Defesa do Consumidor — Responsabilidade por defeito do serviço e proteção do consumidor.
• STJ — REsp 2.077.278 (golpe do boleto) — Dados específicos da operação e nexo causal.
• STJ — REsps 2.222.059 e 2.229.519 (falsa central) — Falhas de segurança e detecção de transações atípicas.
• STJ — precedentes nos quatro anos da LGPD — AREsp 2.130.619 e critérios sobre dano.
• ANPD — denúncia e petição de titular — Fluxo, documentos e tentativa prévia junto ao controlador.

Nota editorial e autoria

Conteúdo informativo. A aplicação da lei depende dos fatos, das provas e da jurisprudência vigente. O artigo não promete resultado nem substitui consulta jurídica individualizada.

Dr. Gutemberg do Monte Amorim · OAB/GO 33.567

Advogado com atuação em Direito do Consumidor, Bancário, Saúde, Direito Digital e LGPD. Atendimento nacional e on-line.

gutembergamorim.com.br/direito-digital